Debian Nginx SSL如何配置安全头

在Debian上配置Nginx以添加安全头，可以提高网站的安全性。以下是一些常见的安全头及其配置方法：

1. Content-Security-Policy (CSP): CSP可以防止跨站脚本攻击（XSS）和其他代码注入攻击。

   add_header Content-Security-Policy "default-src 'self'; script-src 'self' 'unsafe-inline' 'unsafe-eval'; object-src 'none';"; 

2. X-Content-Type-Options: 防止浏览器MIME类型嗅探。

   add_header X-Content-Type-Options "nosniff"; 

3. X-Frame-Options: 防止点击劫持攻击。

   add_header X-Frame-Options "SAMEORIGIN"; 

4. X-XSS-Protection: 启用浏览器的XSS过滤器（现代浏览器已经不再支持这个头，但仍然可以添加以提高兼容性）。

   add_header X-XSS-Protection "1; mode=block"; 

5. Strict-Transport-Security (HSTS): 强制浏览器使用HTTPS连接。

   add_header Strict-Transport-Security "max-age=31536000; includeSubDomains" always; 

6. Referrer-Policy: 控制Referer头的发送。

   add_header Referrer-Policy "no-referrer-when-downgrade"; 

7. Feature-Policy: 控制浏览器功能的启用（类似于CSP，但更细粒度）。

   add_header Feature-Policy "accelerometer 'none'; camera 'none'; geolocation 'none';"; 

8. Permissions-Policy: 替代Feature-Policy，控制浏览器功能的启用。

   add_header Permissions-Policy "accelerometer=(), camera=(), geolocation=()"; 

配置示例

以下是一个完整的Nginx配置示例，包含了上述安全头：

server { listen 80; server_name example.com; return 301 https://$host$request_uri; } server { listen 443 ssl; server_name example.com; ssl_certificate /etc/ssl/certs/example.com.crt; ssl_certificate_key /etc/ssl/private/example.com.key; add_header Content-Security-Policy "default-src 'self'; script-src 'self' 'unsafe-inline' 'unsafe-eval'; object-src 'none';"; add_header X-Content-Type-Options "nosniff"; add_header X-Frame-Options "SAMEORIGIN"; add_header X-XSS-Protection "1; mode=block"; add_header Strict-Transport-Security "max-age=31536000; includeSubDomains" always; add_header Referrer-Policy "no-referrer-when-downgrade"; add_header Feature-Policy "accelerometer 'none'; camera 'none'; geolocation 'none';"; add_header Permissions-Policy "accelerometer=(), camera=(), geolocation=()"; root /var/www/html; index index.html index.htm; location / { try_files $uri $uri/ =404; } } 

注意事项

1. CSP: CSP头可能会阻止一些合法的脚本和资源加载，因此需要根据实际情况进行调整。
2. HSTS: 一旦启用HSTS，浏览器将强制使用HTTPS，无法通过HTTP访问网站。确保在启用HSTS之前已经正确配置了SSL证书。
3. Feature-Policy 和 Permissions-Policy: 这些头是相对较新的，可能不被所有浏览器支持。请根据目标用户群体进行测试。

通过以上配置，可以显著提高Nginx服务器的安全性。